Преземена контрола на 14 PHP библиотеки во складиштето Packagist

Администраторите на складиштето на пакети Packagist открија информации за напад што резултираше со контрола на сметките на придружните 14 PHP библиотеки, вклучувајќи ги и популарните пакети како инстанциатор (вкупно 526 милиони инсталации, 8 милиони инсталации месечно, 323 зависни пакети), sql -форматор (94 милиони вкупни инсталации, 800 илјади месечно, 109 зависни пакети), доктрина-кеш-пакет (73 милиони вкупни инсталации, 500 илјади месечно, 348 зависни пакети) и детектор-код-декодер (20 милиони вкупни инсталации, 400 илјади месечно, 66 зависни пакети).

По компромитирањето на сметките, напаѓачот ја измени датотеката composer.json, додавајќи информации во полето за опис на проектот дека бара работа поврзана со безбедноста на информациите. За да направи промени во датотеката composer.json, напаѓачот ги замени URL-адресите на оригиналните складишта со врски до изменети вилушки (Packagist обезбедува само метаподатоци со линкови до проекти развиени на GitHub; при инсталирање со „инсталација на композитор“ или „надградба на композитор“ команда, пакетите се преземаат директно од GitHub). На пример, за пакетот acmephp, поврзаното складиште беше променето од acmephp/acmephp во neskafe3v1/acmephp.

Очигледно, нападот е извршен не за да се извршат злонамерни дејствија, туку како демонстрација на недозволивоста на невнимателен однос кон употребата на дупликат акредитиви на различни страници. Во исто време, напаѓачот, спротивно на воспоставената практика на „етичко хакирање“, не ги известил развивачите на библиотеката и администраторите на складиштето однапред за експериментот што се спроведува. Напаѓачот подоцна најавил дека откако ќе успее да ја добие работата, ќе објави детален извештај за методите користени во нападот.

Според податоците објавени од администраторите на Packagist, сите сметки што управувале со компромитирани пакети користеле лозинки што лесно се погодуваат без да се овозможи автентикација со два фактори. Се тврди дека хакираните сметки користеле лозинки кои се користеле не само во Packagist, туку и во други услуги, чии бази на податоци за лозинки претходно биле компромитирани и станале јавно достапни. Снимањето на е-поштата на сопствениците на сметките кои биле поврзани со истечени домени може да се користи и како опција за да се добие пристап.

Компромитирани пакети:

• acmephp/acmephp (124,860 инсталации во текот на целиот век на пакувањето)
• acmephp/core (419,258)
• acmephp/ssl (531,692)
• доктрина/доктрина-кеш-пакет (73,490,057)
• доктрина/доктрина-модул (5,516,721)
• доктрина/доктрина-монго-одм-модул (516,441)
• доктрина/доктрина-орм-модул (5,103,306)
• доктрина/инстанцијатор (526,809,061)
• растечка книга/книга за раст (97,568
• jdorn/датотечен систем-кеш (32,660)
• jdorn/sql-форматор (94,593,846)
• khanamiryan/qrcode-detector-decoder (20,421,500)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

Извор: opennet.ru